2FA: Warum ein Schlüssel nicht mehr reicht

Stellen Sie sich vor, Ihre Haustür hätte nur ein Schloss. Und der Schlüssel (Ihr Passwort) liegt unter der Fußmatte. Jeder, der ihn findet, kommt rein. 2FA (Zwei-Faktor-Authentifizierung) baut ein zweites Schloss ein. Der Schlüssel dafür liegt aber nicht unter der Matte, sondern er ist in Ihrer Hosentasche.

Selbst wenn ein Hacker Ihr Passwort stiehlt (Faktor 1), steht er vor einer verschlossenen Tür, weil er Ihr Smartphone (Faktor 2) nicht hat.

Die Hierarchie der Sicherheit

Nicht alle 2FA-Methoden sind gleich sicher. Hier ist das Ranking, von "Okay" bis "Festung":

Platz 3: SMS-Codes (Besser als nichts)

Sie loggen sich ein, die Bank schickt eine SMS.

• Das Problem: SMS sind unsicher. Handynummern können geklaut werden ("SIM-Swapping"). Ein Hacker ruft Ihren Mobilfunkanbieter an, gibt sich als Sie aus und lässt Ihre Nummer auf seine SIM-Karte übertragen. Zack, erhält er Ihre Bank-TANs.
• Fazit: Nutzen Sie es nur, wenn es nichts anderes gibt.

Platz 2: Authenticator-Apps (Der Standard)

Apps wie Google Authenticator, Microsoft Authenticator oder Raivo OTP. Sie scannen einmalig einen QR-Code. Die App generiert dann alle 30 Sekunden einen neuen, 6-stelligen Code.

• Der Vorteil: Diese Codes werden offline auf Ihrem Handy berechnet. Sie können nicht abgefangen werden wie eine SMS.
• Der Nachteil: Wenn Ihr Handy kaputt geht und Sie kein Backup haben, sind Sie ausgesperrt.

Platz 1: Hardware-Keys (Der Gold-Standard)

Ein kleiner USB-Stick (z. B. YubiKey), den Sie am Schlüsselbund tragen. Zum Einloggen stecken Sie ihn in den PC oder halten ihn ans Handy (NFC).

• Die Magie: Er ist Phishing-resistent. Selbst wenn Sie auf einer perfekt gefälschten Google-Login-Seite landen: Der Stick "riecht", dass die Domain falsch ist und verweigert die Unterschrift. Hacker haben keine Chance.

Was tun, wenn das Handy weg ist? (Backup-Codes)

Das Szenario: Handy im Urlaub im Meer versenkt. Kein Zugriff mehr auf 2FA. Kein Login bei Google und Bank möglich. Panik.

Die Rettung: Jeder Dienst bietet beim Einrichten von 2FA sogenannte Backup-Codes (Wiederherstellungscodes) an. Das sind meist 10 einmalige Codes.

1. Drucken Sie diese Codes aus.
2. Legen Sie sie an einen sicheren Ort (nicht ins Portemonnaie!).
3. Im Notfall können Sie sich mit einem dieser Codes einloggen und Ihr neues Handy einrichten.

Fazit: Keine Ausreden mehr

Ja, es ist nervig, jedes Mal zum Handy zu greifen. Aber es ist viel nerviger, wenn Ihr Instagram-Konto gekapert wird und der Hacker Ihren Freunden Bitcoin-Betrugsmaschen schickt. Aktivieren Sie 2FA. Jetzt. Zumindest für E-Mail, Finanzen und Social Media.